Εναλλακτικές του CredSniper για ασφαλή ενημέρωση σχετικά με το phishing του MFA

Το CredSniper είναι ένα κακό θεμέλιο για σύγχρονη εκπαίδευση ευαισθητοποίησης των εργαζομένων στο phishing. Πρόκειται για ένα επιθετικό framework phishing που συνδέεται με καταγραφή διαπιστευτηρίων και token δύο παραγόντων, όχι για μια πλατφόρμα προσομοίωσης με επίκεντρο τη διακυβέρνηση. Το δημόσιο αποθετήριο ustayready/CredSniper εξακολουθεί να τραβάει την προσοχή, αλλά η τελευταία ορατή δέσμευση είναι από τον Μάιο του 2020, και η ίδια η περιγραφή του έργου πλαισιώνει το εργαλείο γύρω από την καταγραφή διαπιστευτηρίων και tokens 2FA.

Αυτό είναι το λάθος σημείο εκκίνησης για τις περισσότερες οργανώσεις.

Οι ομάδες ασφάλειας πρέπει οπωσδήποτε να εκπαιδεύουν τους εργαζομένους σε phishing παράκαμψης MFA, ύποπτες προτροπές σύνδεσης, μοτίβα push-fatigue, κίνδυνο συναίνεσης OAuth και ροές εργασίας κλοπής διαπιστευτηρίων. Αλλά αυτό πρέπει να γίνεται μέσω ελεγχόμενων προσομοιώσεων που αποφεύγουν τη συλλογή πραγματικών μυστικών, ελαχιστοποιούν τα δεδομένα των εργαζομένων, παρέχουν ασφαλή ανατροφοδότηση και παράγουν χρήσιμα αποδεικτικά ευαισθητοποίησης.

Αν η ομάδα σας ψάχνει το CredSniper, χρησιμοποιήστε αυτή την αναζήτηση ως προειδοποιητικό σημάδι: το θέμα του κινδύνου είναι σχετικό, αλλά η κατηγορία του εργαλείου δεν είναι το πρόγραμμα που θέλετε να τρέξετε.

Για τι είναι γνωστό το CredSniper

Το CredSniper περιγράφεται συνήθως ως ένα framework phishing χτισμένο με Flask και Jinja2. Το δημόσιο README του δίνει έμφαση σε ρεαλιστικά αντίγραφα φορμών σύνδεσης, υποστήριξη SSL, ενδιάμεσες σελίδες, phishing δύο παραγόντων, modules και ένα API για καταγεγραμμένα δεδομένα διαπιστευτηρίων.

Αυτά τα χαρακτηριστικά εξηγούν γιατί οι ερευνητές ασφάλειας και οι red teams γνωρίζουν το όνομα. Εξηγούν επίσης γιατί δεν ταιριάζει καθόλου σε τακτικά προγράμματα ευαισθητοποίησης εργαζομένων.

Η διαφορά είναι απλή:

• ένα red-team framework σχεδιάζεται για να δοκιμάζει ή να αποδεικνύει μια διαδρομή επίθεσης
• μια πλατφόρμα ευαισθητοποίησης σχεδιάζεται για να διδάσκει ασφαλέστερη συμπεριφορά επανειλημμένα

Αυτοί οι στόχοι επικαλύπτονται σε επίπεδο θεματικής, αλλά όχι σε επίπεδο ροής εργασίας.

Γιατί έχει σημασία η ευαισθητοποίηση γύρω από την παράκαμψη MFA

Το MFA έχει βελτιώσει την ασφάλεια των λογαριασμών, αλλά δεν έχει εξαλείψει τον κίνδυνο phishing. Οι εργαζόμενοι μπορούν ακόμη να στοχοποιηθούν με ψεύτικες σελίδες σύνδεσης, προτροπές συναίνεσης, συνδέσμους QR-code, πλαστοπροσωπία helpdesk, ψεύτικες προσκλήσεις συνεργασίας και κοινωνική μηχανική που τους πιέζει να εγκρίνουν ή να μοιραστούν κάτι που δεν πρέπει.

Ένα πρόγραμμα ευαισθητοποίησης πρέπει να βοηθά τους εργαζομένους να εξασκούν πιο ασφαλείς συνήθειες:

• να σταματούν πριν εισαγάγουν διαπιστευτήρια
• να αναγνωρίζουν απροσδόκητες προτροπές σύνδεσης
• να ελέγχουν το πλαίσιο ενός αιτήματος
• να αναφέρουν ύποπτες προτροπές MFA ή αιτήματα push
• να χρησιμοποιούν εγκεκριμένα κανάλια αναφοράς
• να κατανοούν γιατί το «ενεργοποιημένο MFA» δεν σημαίνει «το phishing είναι αδύνατο»

Αυτό το θέμα εκπαίδευσης είναι θεμιτό. Η μη ασφαλής κίνηση είναι να χρησιμοποιηθεί ένα toolkit καταγραφής διαπιστευτηρίων ως επιχειρησιακή βάση του προγράμματος.

Γιατί το CredSniper είναι ριψοκίνδυνο για προσομοιώσεις εργαζομένων

Υπάρχουν τρία ξεχωριστά προβλήματα: συντήρηση, κίνδυνος δεδομένων και καταλληλότητα προγράμματος.

1. Η συντήρηση είναι παρωχημένη

Το δημόσιο αποθετήριο του CredSniper έχει πάνω από 1.300 GitHub stars, αλλά η τελευταία ορατή δέσμευση είναι από το 2020. Για ένα εργαλείο που αγγίζει ροές σύνδεσης, εξυπηρέτηση web, templates, συμπεριφορά SSL και έννοιες χειρισμού διαπιστευτηρίων, αυτό είναι σημαντικό επιχειρησιακό σήμα.

Ακόμη κι αν μια ομάδα καταφέρει να το τρέξει, κληρονομεί ερωτήματα που έχουν ελάχιστη σχέση με τα αποτελέσματα ευαισθητοποίησης:

• Είναι οι εξαρτήσεις ενημερωμένες και ελεγμένες;
• Είναι τα προεπιλεγμένα settings του server κατάλληλα;
• Ποιος κάνει patch το περιβάλλον;
• Πώς ελέγχεται η πρόσβαση;
• Πώς χειρίζονται τα logs και τα αποθηκευμένα δεδομένα;
• Τι συμβαίνει όταν το εργαλείο σπάσει πριν από μια προγραμματισμένη καμπάνια;

Το «ακόμη δουλεύει» δεν αρκεί όταν το εργαλείο χειρίζεται ροές προσομοίωσης ευαίσθητες για την ασφάλεια.

2. Το μοντέλο δεδομένων δείχνει προς τη λάθος κατεύθυνση

Οι προσομοιώσεις ευαισθητοποίησης εργαζομένων πρέπει να αποφεύγουν τη συλλογή πραγματικών κωδικών πρόσβασης, κωδικών MFA, session tokens, απαντήσεων ανάκτησης ή άλλων μυστικών. Ένα σύστημα εκπαίδευσης πρέπει να μετρά συμπεριφορά με ασφάλεια, χωρίς να μετατρέπει την άσκηση σε πραγματική καταγραφή διαπιστευτηρίων.

Η ιστορική πρόταση αξίας του CredSniper συνδέεται με καταγραφή διαπιστευτηρίων και token. Αυτό βγάζει νόημα σε πλαίσιο red-team με ρητή εξουσιοδότηση και ώριμους ελέγχους. Δεν βγάζει νόημα ως συνηθισμένη διαδρομή για επαναλαμβανόμενη εκπαίδευση ευαισθητοποίησης.

Μια ασφαλέστερη προσομοίωση θα πρέπει να μπορεί να δείξει ότι ένας χρήστης αλληλεπίδρασε με μια προτροπή εκπαίδευσης χωρίς να αποθηκεύει το μυστικό που ήταν έτοιμος να υποβάλει. Πρέπει να διδάσκει τη συμπεριφορά, όχι να συγκομίζει το αντικείμενο.

Για τον σχεδιασμό landing pages, η ίδια αρχή καλύπτεται αναλυτικότερα στον οδηγό της AutoPhish για ασφαλείς σελίδες προορισμού προσομοίωσης phishing.

3. Η ευαισθητοποίηση χρειάζεται δικλίδες ασφαλείας, όχι μόνο ρεαλισμό

Ο ρεαλισμός δεν είναι το μόνο μέτρο μιας καλής προσομοίωσης phishing. Στην πραγματικότητα, ο ρεαλισμός χωρίς δικλίδες ασφαλείας μπορεί να δημιουργήσει νομικά, ιδιωτικότητας και πολιτισμικά προβλήματα.

Ένα πρόγραμμα ευαισθητοποίησης γύρω από MFA χρειάζεται:

• εγκεκριμένες κατηγορίες σεναρίων
• έλεγχο ιδιωτικότητας
• πρόσβαση στα αποτελέσματα βάσει ρόλου
• όρια διατήρησης
• ασφαλείς landing pages
• ανατροφοδότηση τη στιγμή που χρειάζεται
• μετρήσεις συμπεριφοράς αναφοράς
• παρακολούθηση εκπαίδευσης
• συνοπτικές αναφορές για τη διοίκηση που δεν εκθέτουν υπερβολικά τα άτομα

Το CredSniper δεν λύνει αυτό το επίπεδο προγράμματος. Στην καλύτερη περίπτωση, δίνει σε έναν εξειδικευμένο χειριστή έναν τρόπο να στήσει μια επίδειξη τύπου επίθεσης. Ο οργανισμός εξακολουθεί να πρέπει να χτίσει το πρόγραμμα ευαισθητοποίησης γύρω του.

Τι να χρησιμοποιήσετε αντί για το CredSniper

Η καλύτερη εναλλακτική του CredSniper εξαρτάται από τη δουλειά που προσπαθείτε πραγματικά να κάνετε.

Αν η δουλειά είναι μια εξουσιοδοτημένη άσκηση red team, χρησιμοποιήστε μια ελεγχόμενη διαδικασία red team με ρητό γραπτό πεδίο, έμπειρους χειριστές, απομονωμένη υποδομή και προσεκτικό χειρισμό δεδομένων. Αυτό είναι εξειδικευμένη ανάθεση, όχι καμπάνια εκπαίδευσης.

Αν η δουλειά είναι ευαισθητοποίηση εργαζομένων, χρησιμοποιήστε μια πλατφόρμα προσομοίωσης phishing που μπορεί να διδάξει τον κίνδυνο παράκαμψης MFA χωρίς να συλλέγει πραγματικά μυστικά.

Μια ασφαλέστερη πλατφόρμα θα πρέπει να υποστηρίζει:

• landing pages χωρίς συλλογή διαπιστευτηρίων
• προτροπές αναφοράς αντί για συλλογή μυστικών
• έλεγχο σεναρίων πριν από την εκκίνηση
• εγκρίσεις καμπανιών
• στόχευση με επίγνωση ρόλου
• ανώνυμες ή συγκεντρωτικές αναφορές όπου ενδείκνυται
• ανάθεση εκπαίδευσης μετά από επικίνδυνες αλληλεπιδράσεις
• αναφορές τάσεων με την πάροδο του χρόνου
• καθαρό, εξαγώγιμο αποδεικτικό υλικό για διακυβέρνηση

Αυτός είναι ο δρόμος που πραγματικά χρειάζονται οι περισσότερες ομάδες ασφάλειας και IT.

Πώς να προσομοιώσετε με ασφάλεια τον κίνδυνο παράκαμψης MFA

Η ευαισθητοποίηση γύρω από την παράκαμψη MFA δεν απαιτεί καταγραφή token MFA. Απαιτεί να βοηθήσετε τους εργαζομένους να αναγνωρίσουν το μοτίβο πριν επέλθει η ζημιά.

Ένα ασφαλές σενάριο μπορεί να διδάξει:

• γιατί οι απροσδόκητες προτροπές σύνδεσης είναι ύποπτες
• γιατί το αίτημα για κωδικό MFA δεν είναι φυσιολογικό σε πολλές ροές εργασίας
• γιατί οι εγκρίσεις push πρέπει να αντιστοιχούν σε σύνδεση που ξεκίνησε ο χρήστης
• γιατί τα QR codes και οι mobile-first ροές σύνδεσης αξίζουν επιπλέον έλεγχο
• πώς να αναφέρετε γρήγορα μια ύποπτη προτροπή
• τι θα ζητήσει και τι δεν θα ζητήσει το helpdesk

Η προσομοίωση μπορεί να μετρήσει αν ένας εργαζόμενος έκανε κλικ, ανέφερε, σταμάτησε ή ολοκλήρωσε την επακόλουθη εκπαίδευση. Δεν χρειάζεται να αποθηκεύσει κωδικό ή token για να είναι χρήσιμη.

Αυτή η διάκριση κάνει επίσης το πρόγραμμα ευκολότερο να εξηγηθεί σε ενδιαφερόμενους από privacy, HR, νομική και εργατικό συμβούλιο. Δοκιμάζετε αναγνώριση και αναφορά, όχι συλλογή μυστικών.

CredSniper vs πλατφόρμα ευαισθητοποίησης: πίνακας απόφασης

Απαίτηση	Framework τύπου CredSniper	Πλατφόρμα ευαισθητοποίησης
Επίδειξη κινδύνου phishing διαπιστευτηρίων/MFA	Ισχυρό στα χέρια ειδικού	Εφικτό μέσω ασφαλών σεναρίων
Επαναλαμβανόμενη εκπαίδευση εργαζομένων	Κακή εφαρμογή	Ισχυρή εφαρμογή
Αποφυγή συλλογής πραγματικών μυστικών	Δεν είναι το φυσικό μοντέλο	Βασική απαίτηση ασφάλειας
Αναφορές έτοιμες για διοίκηση	Περιορισμένες / προσαρμοσμένες	Ενσωματωμένες στη ροή εργασίας
Χειρισμός ιδιωτικότητας και διατήρησης	Προσαρμοστικό βάρος	Πρέπει να είναι ρυθμιζόμενο
Υποστήριξη εγκρίσεων και δικλίδων ασφαλείας	Προσαρμοστικό βάρος	Αναμενόμενο χαρακτηριστικό
Μείωση λειτουργικής δουλειάς ημέρας-δύο	Κακή εφαρμογή	Ισχυρή εφαρμογή

Το ζητούμενο δεν είναι ότι τα εργαλεία red team είναι κακά. Το ζητούμενο είναι ότι είναι η λάθος αφαίρεση για ένα επαναλαμβανόμενο πρόγραμμα ευαισθητοποίησης.

Ερωτήσεις που πρέπει να κάνετε πριν επιλέξετε εναλλακτική του CredSniper

Πριν επιλέξετε οποιοδήποτε εργαλείο για ευαισθητοποίηση phishing MFA, ρωτήστε:

1. Συλλέγει ποτέ πραγματικούς κωδικούς πρόσβασης, κωδικούς MFA ή session tokens;
2. Μπορούμε να απενεργοποιήσουμε μη ασφαλείς τύπους σεναρίων μέσω πολιτικής;
3. Μπορούν οι καμπάνιες να απαιτούν έλεγχο και έγκριση πριν από την εκκίνηση;
4. Μπορούν τα αποτελέσματα να αναφέρονται σε επίπεδο ομάδας χωρίς περιττή έκθεση ατόμων;
5. Μπορούμε να ορίσουμε κανόνες διατήρησης και διαγραφής δεδομένων;
6. Μπορούν οι εργαζόμενοι να λαμβάνουν άμεση ανατροφοδότηση εκπαίδευσης;
7. Μπορεί να μετρηθεί η αναφορά ύποπτων μηνυμάτων;
8. Μπορεί η διοίκηση να δει βελτίωση με τον χρόνο;
9. Μπορούμε να εξάγουμε αποδεικτικά στοιχεία για ελέγχους ή εσωτερική διακυβέρνηση;
10. Μπορούμε να τρέξουμε το πρόγραμμα χωρίς να συντηρούμε υποδομή τύπου επίθεσης;

Αν ένα εργαλείο δεν μπορεί να απαντήσει σε αυτά τα ερωτήματα, μπορεί να είναι χρήσιμο για ένα εξειδικευμένο εργαστήριο, αλλά δεν είναι έτοιμο να σηκώσει ένα πρόγραμμα ευαισθητοποίησης.

Πώς ταιριάζει το AutoPhish στο ασφαλέστερο μοτίβο εναλλακτικής

Το AutoPhish είναι φτιαγμένο για οργανισμούς που θέλουν ρεαλιστικές προσομοιώσεις phishing χωρίς να μετατρέπουν την εκπαίδευση εργαζομένων σε συγκομιδή διαπιστευτηρίων.

Για ευαισθητοποίηση γύρω από παράκαμψη MFA, αυτό σημαίνει εστίαση στην αναγνώριση, την αναφορά, την ανατροφοδότηση και τα αποδεικτικά του προγράμματος αντί για τη συλλογή μυστικών. Ο στόχος είναι να βοηθηθούν οι ομάδες να κατανοήσουν τα μοτίβα έκθεσης και να βελτιώσουν τη συμπεριφορά τους με τον καιρό, διατηρώντας τη ροή εργασίας υπερασπίσιμη.

Το AutoPhish βοηθά με:

• ασφαλή σχεδιασμό προσομοίωσης
• επαναλαμβανόμενες ροές καμπανιών
• αναφορά και επακόλουθη εκπαίδευση
• χειρισμό αποτελεσμάτων με επίγνωση ιδιωτικότητας
• συνοπτικές αναφορές φιλικές προς τη διοίκηση
• μειωμένη ευθύνη υποδομής

Αυτό το κάνει καλύτερη εφαρμογή για τις περισσότερες ομάδες που αναζητούν εναλλακτική του CredSniper.

Συχνές ερωτήσεις

Συντηρείται ακόμη το CredSniper;

Η τελευταία ορατή δέσμευση του δημόσιου αποθετηρίου ustayready/CredSniper είναι από τον Μάιο του 2020. Οι ομάδες θα πρέπει να το αντιμετωπίζουν ως παρωχημένο και ακατάλληλο ως προεπιλεγμένη βάση για επαναλαμβανόμενα προγράμματα ευαισθητοποίησης εργαζομένων.

Είναι το CredSniper ασφαλές για εκπαίδευση ευαισθητοποίησης;

Δεν είναι η σωστή προεπιλογή. Το CredSniper συνδέεται με καταγραφή διαπιστευτηρίων και token δύο παραγόντων. Η εκπαίδευση ευαισθητοποίησης πρέπει να διδάσκει στους εργαζομένους να αναγνωρίζουν και να αναφέρουν επικίνδυνες προτροπές χωρίς να συλλέγει πραγματικά μυστικά.

Μπορούμε να εκπαιδεύσουμε εργαζομένους σε phishing παράκαμψης MFA χωρίς να καταγράφουμε κωδικούς MFA;

Ναι. Μια ασφαλής προσομοίωση μπορεί να διδάξει το μοτίβο, να μετρήσει την αλληλεπίδραση και τη συμπεριφορά αναφοράς και να δώσει ανατροφοδότηση χωρίς να αποθηκεύει κωδικούς πρόσβασης, κωδικούς MFA ή tokens.

Ποια είναι η καλύτερη εναλλακτική του CredSniper;

Για red-team εργασία, χρησιμοποιήστε μια εξειδικευμένη ανάθεση με σαφές πεδίο. Για ευαισθητοποίηση εργαζομένων, χρησιμοποιήστε μια πλατφόρμα προσομοίωσης phishing με ασφαλείς landing pages, εγκρίσεις, αναφορά, ελέγχους διατήρησης και επακόλουθη εκπαίδευση. Το AutoPhish είναι σχεδιασμένο για αυτή τη διαδρομή ευαισθητοποίησης.

Συμπέρασμα

Το CredSniper είναι ένα χρήσιμο σήμα αναζήτησης επειδή δείχνει σε μια πραγματική ανησυχία: το phishing παράκαμψης MFA. Αλλά το ίδιο το εργαλείο αντιπροσωπεύει το λάθος επιχειρησιακό μοντέλο για τις περισσότερες οργανώσεις.

Μην χτίζετε ένα πρόγραμμα ευαισθητοποίησης πάνω σε ένα παρωχημένο framework καταγραφής διαπιστευτηρίων. Χτίστε το πάνω σε ασφαλείς προσομοιώσεις, σαφή αναφορά και μετρήσιμη αλλαγή συμπεριφοράς.

Εγγραφείτε για να τρέξετε προσομοιώσεις phishing με επίγνωση MFA χωρίς να συλλέγετε πραγματικά μυστικά εργαζομένων.